severity

アドバイザリーID : cisco-sa-20060628-ap

初公開日 : 2006-06-28 17:00

バージョン 1.2 : Final

回避策 : No Workarounds available

Cisco バグ ID : CSCsd67403 CSCsf18032

CVE-2006-3291

Download CVRF

Email

日本語による情報は、英語による原文の非公式な翻訳であり、英語原文との間で内容の齟齬がある場合には、英語原文が優先します。

概要

CiscoアクセスポイントおよびCisco 3200シリーズワイヤレスモバイルインターフェイスカード(WMIC)用のCisco Webブラウザインターフェイスには、特定の状況で管理アクセスポイントからデフォルトのセキュリティ設定を削除し、管理ユーザクレデンシャルの検証を行わずに管理アクセスを許可する可能性のある脆弱性が存在します。

シスコでは、該当するお客様用に、この脆弱性に対応する無償ソフトウェアを提供しております。この脆弱性の影響を軽減するための回避策があります。

このアドバイザリは、https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060628-ap で公開されています。

該当製品

このセクションには、該当製品に関する詳細が掲載されています。

脆弱性のある製品

Cisco IOSÂ®ソフトウェアリリース12.3(8)JA、12.3(8)JA1、または12.3(8)JKを実行し、Webインターフェイス管理用に設定されている場合、次のアクセスポイントが影響を受けます。

- 350ワイヤレスアクセスポイントおよびワイヤレスブリッジ

- 1100ワイヤレスアクセスポイント

- 1130ワイヤレスアクセスポイント

- 1200ワイヤレスアクセスポイント

- 1240ワイヤレスアクセスポイント

- 1310ワイヤレスブリッジ

- 1410ワイヤレスアクセスポイント

- Cisco 3200シリーズワイヤレスモバイルインターフェイスカード(WMIC)

CiscoアクセスポイントでWebインターフェイス管理が有効になっているかどうかを確認するには、デバイスにログインしてshow ip http server statusコマンドを発行します。出力にhttp server statusまたはhttp secure server statusのいずれかがenabledと表示されている場合は、Webインターフェイス管理が有効になっています。Webインターフェイス管理が有効になっている場合の例を次に示します。

ap#show ip http server status

HTTP server status: Enabled

HTTP server port: 80

[...lines removed...]

HTTP secure server status: Disabled

HTTP secure server port: 443

[...lines removed...]

Webインターフェイス管理（HTTPサーバ）はデフォルトで有効になっています。

アクセスポイントで稼働しているCisco IOSのバージョンを確認するには、次の手順を実行します。

- メニューをクリックします。Cisco IOSソフトウェアのバージョンが[System Software Version] フィールドに表示されます。 ブラウザを使用する:[System Software]

- コマンドラインインターフェイス(CLI):Ciscoアクセスポイントで実行されているソフトウェアを判別するには、デバイスにログインし、show versionコマンドを発行してシステムバナーを表示します。

Cisco IOS ソフトウェアは「Internetwork Operating System Software」または単に「IOS」と表示されます。

出力の次の行には、カッコに囲まれたイメージ名が表示され、その後にバージョンと Cisco IOS リリース名が続きます。その他の Cisco デバイスには show version コマンドがないか、異なる出力が返されます。

次の例は、Cisco IOSソフトウェアリリース12.3(7)JA1を実行し、インストールされているイメージ名がC1200-K9W7-MのCiscoアクセスポイントを示しています。

ap#show version

Cisco IOS Software, C1200 Software (C1200-K9W7-M),

Version 12.3(7)JA1, RELEASE SOFTWARE (fc1)

Technical Support: http://www.cisco.com/techsupport

Copyright (c) 1986-2005 by Cisco Systems, Inc.

Compiled Thu 06-Oct-05 09:40 by evmiller

!

[...lines removed...]

!

Cisco IOSリリースの命名規則の詳細については、http://www.cisco.com/warp/public/620/1.htmlを参照してください。

脆弱性を含んでいないことが確認された製品

脆弱性を含んでいない製品は次のとおりです。

- Cisco IOSソフトウェアを実行していないアクセスポイント

- Cisco IOSソフトウェアリリース12.3(8)JA、12.3(8)JA1、または12.3(8)JK以外のCisco IOSの任意のバージョンを実行しているアクセスポイント

- Webインターフェイス管理が無効になっているアクセスポイント（HTTPとHTTPの両方でセキュア）

- Lightweightモードで動作するすべてのCiscoアクセスポイント

詳細

Webブラウザインターフェイスには、ワイヤレスデバイス設定の変更、ファームウェアのアップグレード、ネットワーク上の他のワイヤレスデバイスの監視と設定に使用する管理ページが含まれています。Webブラウザインターフェイスはデフォルトで有効になっており、設定コマンドip http serverまたはip http secure-serverによって示されます。

デフォルト設定を実行しているアクセスポイントは、管理アクセスにデフォルトのイネーブルシークレットパスワードを使用します。これは、Webブラウザインターフェイスのタブで[Security] > [Admin Access] > [Default Authentication (Global Password)] を選択するか、CLIで設定コマンドenable secret [new_secret] を使用して変更できます。

[ローカルユーザリストのみ（個別パスワード）(Local User List Only (Individual Passwords))]では、アクセスポイントの管理者は、共通のグローバルパスワードが共有されないように、管理者に対してローカルで一意なユーザ名/パスワードデータベースを定義できます。

[Security] > [Admin Access] が[Default Authentication (Global Password)] から[Local User List Only (Individual Passwords)] に変更されると、アクセスポイントのWebブラウザインターフェイスに脆弱性が存在します。その結果、アクセスポイントはセキュリティなしで再設定され、グローバルパスワードまたは個別パスワードが有効になります。これにより、Webブラウザインターフェイスまたはコンソールポート経由でアクセスポイントにオープンアクセスでき、ユーザクレデンシャルの検証は不要です。

Local User List Only(Individual Passwords)に設定されたアクセスポイントで、脆弱性が存在しないバージョンのCisco IOSが実行され、その後IOSの脆弱性が存在するバージョンにアップグレードされた場合でも、アップグレード後に設定が変更されない限り、この脆弱性の影響を受けません。

この脆弱性は、Cisco Bug ID CSCsd67403(登録ユーザ専用)「Cannot Select Option to Authenticate using Local User List Only」に記載されています。

回避策

この脆弱性の影響を軽減するために、次のいずれかの回避策と緩和策を使用できます。

- Webベース管理の無効化

次の方法でWebブラウザインターフェイスの使用を防止するには、次の手順を実行します。

- [Web-Based Management] :[Services] > [HTTP-Web Server] ページで[Disable Web-Based Management] チェックボックスをオンにし、[Apply] をクリックします。

- CLI：デバイスにログインし、次の設定コマンドを発行します（終了時に設定を保存します）。

ap(config)#no ip http server

ap(config)#no ip http secure-server

ap(config)#exit

- CLIによる設定

WebブラウザインターフェイスではなくCLIを使用して[Local User List Only]（個々のパスワード） を有効にすると、アクセスポイントに必要な保護された設定が提供されます。デバイスにログインし、次の設定コマンドを発行します（終了時に設定を保存します）。

ap#configure terminal

!--- Setup the username password pair first.

ap(config)#username test privilege 15 password test

!--- Enable AAA.

ap(config)#aaa new-model

!--- Enable aaa authentication to the local database.

ap(config)#aaa authentication login default local

!--- Enable aaa authorization to the local database.

ap(config)#aaa authorization exec default local

!--- Enable http authentication to AAA.

ap(config)#ip http authentication aaa

ap(config)#exit

- 最初にRADIUS/TACACSサーバを設定する

Webブラウザインターフェイスを使用して、[Security] > [Server Manager] > [Corporate Servers] 内の任意のRADIUS/TACACS+サーバを有効にし、[Security] > [Admin Access] のオプションを[Local User List Only (Individual Passwords)] として実行すると、この脆弱性に対する回避策が提供されます。

修正済みソフトウェア

アップグレードを検討する場合は、http://www.cisco.com/go/psirt と後続のアドバイザリも参照して、問題の解決状況と完全なアップグレード ソリューションを確認してください。

いずれの場合も、アップグレードする機器に十分なメモリがあること、および現在のハードウェアとソフトウェアの構成が新しいリリースで引き続き適切にサポートされていることの確認を十分に行ってください。情報に不明な点がある場合は、Cisco Technical Assistance Center（TAC）または契約を結んでいるメンテナンス プロバイダーにお問い合せください。

Cisco IOS ソフトウェアの表（下掲）の各行には、リリース トレインとそれに対応するプラットフォームまたは製品が記載されています。特定のリリーストレインに脆弱性が存在する場合、修正を含む最初のリリース（最初の修正リリース）とそれぞれのリリース予定日が「リビルド」列と「メンテナンス」列に表示されます。特定の列に記されているリリースよりも古い（第 1 修正済みリリースより古い）トレインに含まれるリリースが稼働しているデバイスは脆弱であることが確認されています。このようなリリースは、少なくとも、示されているリリース以上（最初の修正リリース ラベル以上）にアップグレードしてする必要があります。

「リビルド」および「メンテナンス」という用語の詳細については、次のURLを参照してください。http://www.cisco.com/warp/public/620/1.html。

メジャー リリース

修正済みリリースの入手可能性

12.3

リビルド

メンテナンス

12.3(8)JA

12.3(8)JA2

12.3(11)JA

12.3(8)JA1

12.3(8)JA2

12.3(11)JA

12.3(8)JK

脆弱性あり – TACにお問い合わせください。

不正利用事例と公式発表

Cisco PSIRT では、本アドバイザリに記載されている脆弱性の不正利用事例やその公表は確認しておりません。

URL

https://sec.cloudapps.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20060628-ap

改訂履歴

リビジョン 1.2

2006年9月20日

「脆弱性のある製品」セクションをCisco 3200シリーズワイヤレスモバイルインターフェイスカード(WMIC)を含むように更新し、「ソフトウェアバージョンおよび修正」セクションを12.3(8)JKを含むように更新しました。

リビジョン 1.1

2006年7月6日

Cisco IOSソフトウェアリリース12.3(11)JAのリリース日は、「ソフトウェアバージョンと修正」セクションで変更されています。

リビジョン 1.0

2006 年 6 月 28 日

初回公開リリース

利用規約

本アドバイザリは無保証のものとしてご提供しており、いかなる種類の保証も示唆するものではありません。 本アドバイザリの情報およびリンクの使用に関する責任の一切はそれらの使用者にあるものとします。 また、シスコは本ドキュメントの内容を予告なしに変更したり、更新したりする権利を有します。

本アドバイザリの記述内容に関して情報配信の URL を省略し、単独の転載や意訳を施した場合、当社が管理した情報とは見なされません。そうした情報は、事実誤認を引き起こしたり、重要な情報が欠落していたりする可能性があります。 このドキュメントの情報は、シスコ製品のエンドユーザを対象としています。